Politiche e sicurezza

Tutte le scadenze post-quantistiche in una tabella

Negli Stati Uniti, lo scambio di chiavi ha una scadenza nel 2030; l’UE raccomanda di passare alla crittografia post-quantistica per i casi d’uso ad alto rischio entro la fine del 2030; per le firme la scadenza è il 2031; il 2035 è il limite

Gabriele Masetti · 2026-10-22

Due orologi, non una sola data

La maggior parte delle sintesi del calendario post-quantistico cita un unico anno: il 2035. I testi di chi ha fissato le scadenze dicono altro. Per lo scambio di chiavi, la parte della crittografia che protegge i dati dalla registrazione, la scadenza è il 2030 negli Stati Uniti, nell’Unione europea e in una dichiarazione europea sottoscritta da 21 Stati. Per le firme digitali, a Washington la scadenza è il 2031; anche Londra e Singapore fissano al 2031 una tappa più ampia della migrazione.

Il calendario segue due orologi. Il primo dipende da quanto a lungo i dati cifrati devono restare segreti, ed è già in moto per via della strategia «raccogliere oggi, decifrare domani». Il secondo dipende dal tempo necessario a sostituire certificati, firmware e chiavi di firma. Il 2035 è il limite ultimo per tutto ciò che resta, anche se per i casi d’uso a basso rischio la tabella di marcia dell’UE chiede di completare la transizione solo «per quanto fattibile». Per interpretare correttamente una scadenza bisogna chiedersi a quale dei due orologi si riferisca e chi, se qualcuno, sia tenuto a rispettarla.

Tutte le scadenze in una tabella

Ogni riga riporta la formulazione dell’ente che ha fissato la scadenza, o la parafrasi più fedele. «Vincolante» significa che il testo impone un obbligo ai suoi destinatari. Le raccomandazioni, le bozze e gli obiettivi sono indicati come tali.

Le righe si dividono in tre gruppi: standard senza un calendario, programmi governativi e un’azienda che ha scelto la propria data.

Cosa ha standardizzato il NIST e cosa ha soltanto proposto in bozza

Il 13 agosto 2024 il NIST ha finalizzato tre standard: FIPS 203 per l’incapsulamento delle chiavi, FIPS 204 per le firme e FIPS 205 per le firme basate su funzioni hash. Gli algoritmi sono noti come ML-KEM, ML-DSA e SLH-DSA. Gli standard non fissano alcuna scadenza. Nel proprio annuncio, il NIST citava il responsabile del suo progetto post-quantistico, Dustin Moody: «Incoraggiamo gli amministratori di sistema a iniziare subito a integrarli nei loro sistemi, perché l’integrazione completa richiederà tempo».

Il calendario proviene da un documento separato, NIST IR 8547, pubblicato in bozza il 12 novembre 2024. Nelle sue tabelle, gli schemi RSA e a curva ellittica con un livello di sicurezza a 112 bit sono contrassegnati come «Declassati dopo il 2030» e tutti gli schemi vulnerabili agli attacchi quantistici come «Non consentiti dopo il 2035». La pagina indica ancora IR 8547 come bozza iniziale pubblica e non fornisce una data per la versione definitiva.

La data del 2030 si applica quindi soltanto alle combinazioni di parametri meno robuste previste nella bozza, mentre quella del 2035 si applica a tutte. Le agenzie che citano la bozza come se fosse definitiva trattano una proposta come una norma. La versione definitiva di IR 8547 potrebbe ancora modificare entrambe le date.

Da dove viene il 2035

Quasi tutti i calendari nazionali risalgono a una sola frase contenuta in un memorandum della Casa Bianca del 2022. Il memorandum, NSM-10, è stato firmato il 4 maggio 2022.

gli Stati Uniti devono dare priorità alla transizione tempestiva ed equa dei sistemi crittografici verso una crittografia resistente agli attacchi quantistici, con l’obiettivo di mitigare quanto più rischio quantistico possibile entro il 2035.

— La Casa Bianca, National Security Memorandum 10 (4 maggio 2022)

La tabella di marcia dell’UE lo dice esplicitamente. Il suo testo giustifica la tappa del 2035 richiamando la bozza del NIST («i meccanismi crittografici tradizionali a chiave pubblica non saranno più consentiti dopo il 2035»), l’obiettivo di NSM-10 e il calendario dell’UK NCSC. Il rapporto provvisorio del Giappone del novembre 2025 presenta lo stesso ragionamento in giapponese: la maggior parte dei paesi, tra cui Stati Uniti, UE, Regno Unito e Canada, ha fissato il 2035 come limite, quindi anche il Giappone dovrebbe puntare al 2035.

I testi successivi citano quelli precedenti: il 2035 funziona dunque come punto di coordinamento scelto una volta e poi ripreso. Il ragionamento del Regno Unito è più concreto: secondo l’NCSC, 10 anni sono un periodo sufficiente perché vengano pubblicati gli standard, sviluppati i prodotti e la loro adozione diventi diffusa. La tabella di marcia dell’UE, tuttavia, tiene conto anche del tempo stimato prima che sia disponibile un computer quantistico rilevante dal punto di vista crittografico nel fissare le date della transizione.

Perché «raccogliere ora, decifrare più tardi» anticipa la scadenza per lo scambio di chiavi

«Raccogliere ora, decifrare più tardi» significa che un avversario registra oggi il traffico cifrato e aspetta una macchina capace di decifrarlo. Registrare quel traffico è alla portata di soggetti dotati di ampie risorse, mentre l’attacco avviene in seguito: il danno è quindi già fatto prima che esista un computer quantistico. L’ordine della Casa Bianca enuncia chiaramente il problema: mette in guardia contro «avversari che raccolgono ora informazioni degli Stati Uniti e le decifrano più tardi, quando i computer quantistici su larga scala saranno operativi».

Questo cambia il modo di calcolare una scadenza. Si consideri un documento che deve restare riservato fino al 2045 e una rete che richiede sei anni per la migrazione. La data rilevante è quella in cui il documento è stato acquisito mentre lo scambio di chiavi era vulnerabile ai computer quantistici: l’arrivo successivo di un computer quantistico non può annullare quell’acquisizione. Ogni anno di ritardo aggiunge registrazioni che nessuna migrazione successiva potrà proteggere. Il 2045 e i sei anni servono a illustrare il ragionamento e non provengono da alcun ente citato.

La bozza del NIST fa la stessa osservazione a proposito del proprio calendario, definendo la minaccia «uno dei motivi principali per cui è urgente la transizione alla crittografia post-quantistica». Il manuale di Singapore la definisce «la minaccia immediata», ma aggiunge una cautela: segnala «scetticismo riguardo alla portata degli attacchi HNDL», perché conservare traffico su larga scala richiede risorse «principalmente alla portata di soggetti motivati e dotati di ampie risorse». Il ragionamento sulle scadenze vale per i dati sensibili che devono restare riservati a lungo, ma è meno stringente per tutto il resto.

Le scadenze intorno al 2030 per lo scambio di chiavi

Tre testi fissano la fine del 2030 come scadenza per i dati che più di altri devono essere protetti dalla registrazione. Sono stati redatti tra novembre 2024 e giugno 2026. Una dichiarazione congiunta pubblicata per la prima volta nel novembre 2024 dal BSI e da partner di altri 17 Stati europei, e ripubblicata il 27 giugno 2025 con partner di 21 Stati europei, raccomanda che i casi d’uso più sensibili «siano protetti dagli attacchi “conserva ora, decifra più tardi” il prima possibile, al più tardi entro la fine del 2030».

La tabella di marcia dell’UE adotta la stessa data e va oltre sul metodo. Per i casi d’uso ad alto rischio stabilisce che i meccanismi a chiave pubblica vulnerabili ai computer quantistici «non dovranno essere usati da soli dopo la fine del 2030», il che in pratica significa ricorrere a soluzioni ibride che combinano un algoritmo classico e uno post-quantistico. La prima tappa della tabella di marcia arriva prima: entro il 31 dicembre 2026, ogni Stato membro avrà attuato i primi passi e predisposto una prima tabella di marcia nazionale.

Gli Stati Uniti arrivano al 2030 per una via diversa. L’Executive Order 14412, firmato il 22 giugno 2026, ordina all’OMB di imporre alle agenzie la migrazione di tutti gli asset di alto valore e dei sistemi ad alto impatto allo stabilimento di chiavi post-quantistico entro il 31 dicembre 2030. Una proposta di modifica del Federal Acquisition Regulation prevede di imporre agli appaltatori interessati il rispetto degli standard post-quantistici del NIST entro lo stesso giorno.

Le scadenze intorno al 2031 per le firme

Una firma falsificata non può essere applicata retroattivamente a una connessione già conclusa. ANSSI ha formulato questa argomentazione nel gennaio 2022: a differenza dell’attacco retroattivo alla cifratura, la minaccia alle firme riguarda soltanto quelle generate dopo che esisterà un computer quantistico crittograficamente rilevante. Le firme verificate in tempo reale, come in un canale autenticato, non possono quindi essere colpite prima della comparsa di una macchina del genere. Le firme con una lunga validità, come quelle sui documenti firmati, sono l’eccezione indicata da ANSSI.

Un post di Google del marzo 2026 traccia la stessa distinzione: «La minaccia alla cifratura è rilevante già oggi per via degli attacchi “conserva ora, decifra più tardi”, mentre le firme digitali sono esposte a una minaccia futura che richiede la transizione alla crittografia post-quantistica prima dell’arrivo di un computer quantistico crittograficamente rilevante (CRQC)». L’ordine esecutivo segue questa distinzione. Lo stabilimento delle chiavi ha come scadenza il 31 dicembre 2030, le firme digitali un anno dopo.

(ii) migrare tutti gli HVA e i sistemi ad alto impatto all’uso della crittografia post-quantistica per lo stabilimento delle chiavi entro il 31 dicembre 2030; (iii) migrare tutti gli HVA e i sistemi ad alto impatto all’uso della crittografia post-quantistica per le firme digitali entro il 31 dicembre 2031; e

— La Casa Bianca, Executive Order 14412 (22 giugno 2026)

Il memorandum attuativo M-26-15 dell’OMB, datato 24 giugno 2026, traduce le due date in fasi. Fissa «l’obiettivo di mitigare quanto più rischio quantistico possibile entro il 31 dicembre 2030», definisce il 2031 una fase di «migrazione delle firme» e colloca il «completamento della migrazione» nel 2035. Le agenzie devono presentare un piano di migrazione entro 120 giorni dal memorandum, che precisa di «non applicarsi ai sistemi di sicurezza nazionale».

Il calendario del Regno Unito ha una struttura diversa, ma un centro di gravità simile. L’NCSC chiede alle organizzazioni di definire gli obiettivi della migrazione e completare la ricognizione entro il 2028, effettuare la migrazione degli elementi con la massima priorità entro il 2031 e completare tutto entro il 2035. Il manuale di Singapore, datato 16 luglio 2026, chiede ai responsabili delle infrastrutture informatiche critiche di presentare un piano entro il 31 marzo 2027 e di completare la migrazione entro il 31 dicembre 2031, affinché «la crittografia vulnerabile non sia più utilizzata».

Cosa vincola e cosa si limita a raccomandare

Conta più sapere chi è vincolato che conoscere le date. L’Executive Order 14412 e l’M-26-15 vincolano le agenzie federali, e l’ordine si estende ai contraenti attraverso un procedimento normativo. I requisiti della CNSA 2.0, secondo quanto riportato, vincolano i titolari e i fornitori dei sistemi di sicurezza nazionale. L’ordine esclude questi sistemi dalle linee guida dell’OMB e prevede invece che il direttore della NSA riferisca al Presidente sulla loro migrazione entro 180 giorni.

Tutto il resto della tabella contiene raccomandazioni. La tabella di marcia dell’UE è un insieme di raccomandazioni rivolte agli Stati membri, il calendario dell’NCSC è una guida e la dichiarazione congiunta di 21 Stati usa il verbo «raccomandare». Il testo del Giappone è un rapporto provvisorio e l’IR 8547 del NIST è una bozza. Il manuale di Singapore è quello che più si avvicina a un obbligo, perché presenta le tappe del 2027, 2028 e 2031 come requisiti per i titolari delle infrastrutture informatiche critiche.

Un’organizzazione che opera in più giurisdizioni può adottare la data più stringente come scadenza di lavoro. Per un’agenzia federale statunitense è il 31 dicembre 2030 per l’instaurazione delle chiavi. Per un operatore europeo di infrastrutture critiche è la fine del 2030 per i casi d’uso ad alto rischio: una scadenza raccomandata dalla tabella di marcia, che le leggi nazionali potrebbero in seguito rendere vincolante.

Le scadenze delle aziende precedono quelle dei governi

Il 25 marzo 2026, Google ha annunciato: «Fissiamo al 2029 la scadenza per la migrazione alla crittografia post-quantistica». Ha indicato tre ragioni per anticipare la migrazione: i progressi nell’hardware quantistico, nella correzione degli errori e nelle stime delle risorse necessarie per fattorizzare numeri grandi. Ha anche affermato di aver modificato il proprio modello delle minacce per dare priorità alla migrazione dei servizi di autenticazione e che Android 17 integra le firme ML-DSA.

La data fissata da Google precede di due anni le scadenze del 2031 per le firme e di un anno quella del 2030 per lo scambio di chiavi. È un impegno che riguarda i sistemi di Google e non comporta obblighi per altri. Il post fissa un calendario di migrazione per l’azienda e indica come motivazioni l’hardware, la correzione degli errori e le stime sulla fattorizzazione. Alla tabella aggiunge un segnale: un grande operatore che controlla i propri browser, server e sistema operativo prevede di finire prima che le autorità di regolamentazione lo impongano.

Le organizzazioni più piccole non controllano una parte così ampia della propria infrastruttura tecnologica. Dipendono dai fornitori, dalle autorità di certificazione e dagli organismi di standardizzazione. L’NCSC riconosce il problema, osservando che per un piccolo gruppo di tecnologie usate di rado la migrazione entro il 2035 potrebbe risultare più difficile.

Come leggere la tabella per i propri sistemi

Si parte dai dati. Per ogni sistema, occorre chiedersi per quanto tempo le informazioni che protegge debbano restare segrete e se il suo scambio di chiavi possa essere registrato da un terzo. Se le risposte sono «più di qualche anno» e «sì», vale la scadenza del 2030, e il lavoro concreto consiste nell’attivare lo scambio di chiavi ibrido ovunque il software lo consenta. Sia il testo britannico sia quello statunitense affiancano alla data obiettivo la compilazione di un inventario, perché nessuno può pianificare la migrazione di sistemi crittografici che non ha individuato.

Per le firme, la domanda è per quanto tempo una chiave o un certificato debbano restare attendibili. Le chiavi per la firma del firmware, i certificati radice e gli archivi firmati durano un decennio o più, quindi rientrano nella scadenza del 2031, anche se la falsificazione di una firma è un problema futuro. Le firme di sessione di breve durata possono attendere i fornitori delle piattaforme.

Le date cambieranno. L’IR 8547 è ancora una bozza, la tabella di marcia dell’UE prevede versioni successive e l’M-26-15 chiede alle agenzie di allinearsi all’IR 8547 «o al documento che lo sostituirà». Un’organizzazione che dispone di un inventario crittografico completo e di un’infrastruttura tecnologica capace di supportare soluzioni ibride può assorbire lo spostamento di una scadenza; chi non dispone di entrambi deve cominciare dall’inventario.